欧盟与美国ORSA研究及对我国的实践指导，本文主要内容关键词为：美国论文,欧盟论文,我国论文,ORSA论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
一、欧盟与美国ORSA最新进展
（一）欧盟偿付能力Ⅱ计划及ORSA最新进展
欧盟保险行业现行的偿付能力I（Solvency I）始于1973年的第1号非寿险指令和1979年的第1号寿险指令。尽管近四十年来进行了不断的修改和完善，但欧盟仍认为偿付能力I无法满足全面评价保险公司风险和财务状况的要求，影响到对保单持有人和受益人的保护以及欧洲市场的巩固和统一运行。于是欧盟在2001年5月启动了偿付能力Ⅱ（SolvencyⅡ）计划。2009年11月，欧洲议会（European Parliament）和欧盟理事会（Council of the European Union）共同正式发布偿付能力Ⅱ框架指令文件①（下称“09指令”），它包含一系列具有高度概括性的要求，旨在为欧盟保险市场提供一个现代化的、基于风险的监管系统。欧盟ORSA的指导思想即来自于09指令的第45节和第246节，它位于偿付能力Ⅱ三支柱的第二支柱，是一种定性的评估方法。
欧盟偿付能力Ⅱ框架的全面投入使用时间预计是在2014年1月1日，由欧洲保险与职业养老金管理局（The European Insurance and Occupational Pensions Authority，EIOPA）担负了制定技术标准和准则等重要责任，ORSA的准则也由其起草和制定。早在2010年冬，欧洲保险和职业养老金监督官委员会（Committee of European Insurance and Occupational Pensions Supervisors，CEIOPS）②就开始着手起草欧盟ORSA准则。从2010年12月至今，ORSA准则共经两次修改，由最初的29条最终精简为21条③，分为总则、政策、评估记录、内部报告、具体操作和集团ORSA六部分。虽然可能还会根据OMDII正式文件及未来变化进行修改，但保险公司可以基于这21条准则设计它们的ORSA并提前试运行，发现问题及时改正。
（二）美国ORSA最新进展
在美国，ORSA原是由保险监督官协会（National Association of Insurance Commissioners,NAIC）的集团偿付能力问题工作组（GSIWG）和公司治理工作组（CGWG）合作进行的。这两个工作组均下属于财务状况委员会下的偿付能力现代化计划特别工作组（Solvency Modernization Initiative Task Force,SMITF）。随着ORSA研究的深入，工作量日益增加，同时考虑到其自成体系，与现有的RBC框架相对独立，NAIC于近期新设置了一个ORSA工作小组，直接下属于财务状况委员会，方便专门开展ORSA的研究活动。
接手ORSA工作后，2012年6月，ORSA工作组完成了一项ORSA反馈试点项目（ORSA Feedback Pilot Project，FPP）。该项目的目的是为全行业提供一个信息反馈，识别准则中需要改进之处；内容是在保密的前提下通过审查14份自愿提供的ORSA总结报告来发现问题和不足，进而将观察结果公开反馈给全行业。与反馈结果一同发布的还有修订版的ORSA准则手册（2012），该手册从结构和内容上与2011版的手册都没有本质的变化，以完善工作居多，主要新增了以下要求：
1.保险人应确定报告的会计基础（如美国通用会计准则（GAAP）、美国法定会计准则（SAP）、国际财务报告准则（IFRS））；
2.保险人应解释ORSA的范围，总结报告中都包括哪些法人或非法人实体，最好有相关的组织结构图；
3.保险人应总结较上一年度ORSA的重大变化；
4.保险人应提供与上一年度风险资本（risk capital）的比较；
除此之外，该手册还根据2012年9月发布的风险管理和ORSA示范法（Model JHJ505）对ORSA准则做出了同步修改，并在附录中添加了术语词汇表，修改了一些用词和表达，使之更加易读和准确。
（三）中国第二代偿付能力体系与ORSA
中国保监会一直密切关注着国外偿付能力制度的建设和发展进程，并不断推陈出新，致力于完善中国的偿付能力制度框架。2013年5月初，保监会发布了《中国第二代偿付能力监管制度体系整体框架》④，框架共分体系名称、总体目标、整体框架构成和技术原则四部分，为中国保险业量身打造了一个更灵活、更有效、更具指导意义的框架体系，在偿付能力制度建设的道路上又向前迈进了一大步。
中国第二代偿付能力监管制度体系的中文名称为“中国风险导向的偿付能力体系”（以下简称“偿二代”），偿二代是风险导向、价值导向的，十分关注风险的防范，要求资产负债评估能适时、恰当地反映保险公司面临的实际风险状况及变动；资本要求要更加全面、准确地反映保险公司的各类风险；监管措施要更加具有风险针对性。这和ORSA的基本价值理念是一致的。
虽然中国还没有以ORSA命名的评估体系，但是在整体框架构成的第二支柱——定性监管要求中提出在第一支柱的基础上，进一步防范难以量化的风险，如操作风险、战略风险、声誉风险、流动性风险等。第二支柱共包括四部分内容，其中第二部分是保险公司风险管理要求与评估，即监管部门对保险公司的风险管理提出具体监管要求，如治理结构、内部控制、管理架构和流程等，并对保险公司风险管理能力和风险状况进行评估。这表明中国也正积极向着ORSA的要求逐步靠近。
二、ORSA理论构架
虽然各国的保险实践存在差异，细节之处仍须反复斟酌，但ORSA焦点都集中在一些主要内容上，主要包括董事会和高级管理层、前瞻性视角、相称性原则、ORSA偿付能力需求、文件记录、内部模型和集团ORSA等。如图1所示，如果将ORSA比作一个金字塔，无疑位于金字塔顶端的是公司董事会和高级管理层，他们是ORSA的中坚力量；金字塔的第二层是ORSA的两大核心原则——前瞻性和相称性，承上启下；具体实践位于金字塔的第三层，由ORSA偿付能力需求、内部模型、文件记录和集团ORSA四个方面共同搭建成。
本部分的研究将围绕图1这个ORSA金字塔进行，结合欧盟与美国的ORSA要求进行专题讨论，寻找共性与不同，深入剖析各个专题的深层次含义。
（一）董事会/高级管理层
董事会和管理层是公司的领导者，其作用应自上而下贯穿于ORSA的整个过程中，不仅体现于ORSA的设计过程，还应体现在实施过程中，专业而客观地为公司做出稳健而审慎的管理决策，提供ORSA需要的核心信息内容。首先，董事会应从公司的风险框架开始，确定公司的风险偏好是什么。这是对公司风险态度的基本定位，是未来战略和ORSA的基本假设条件，必须由拥有公司的董事们决定。其次便是提供ORSA的设计理念，董事会成员至少需要大致了解公司的风险状况和资本状况，把握未来一段时间内公司的战略走向，其次才能对ORSA提出建设性意见，确保ORSA的合理设计。ORSA的实施过程也需要董事会和管理层的全程检查监督，具体到各项重要财务指标的完成、对每类风险采取什么样的行为和措施等。
公司的管理者有时意识不到自己对公司资本所负有的重要责任，凭直觉做决策，没有意识到过多地承担风险给公司带来的严重后果。不同于以往，ORSA给了公司一项全新的挑战，它表明了对公司的更深刻理解和更全面把握，因此，ORSA的质量应由一个合适的经验丰富的人来把关，独立地整体评判ORSA的效力，确保ORSA反映了公司的具体情况。已设有首席风险分析师（CRO）的公司应由CRO主要负责ORSA的正常运转，还未设CRO一职的保险公司应考虑设置，或者暂由首席执行官（CEO）代替行使这一职责。总而言之，ORSA的责任应处在整个组织的最顶端，俯瞰全局，这是公司发展的必由之路，也是利益相关者们的期望。
（二）前瞻性视角
ORSA前瞻性要求的提出是为了尽可能降低由短视行为带来的风险，并着眼未来，以可持续发展为核心目标，为更长远的规划做出风险准备和资本准备。作为ORSA的基本原则之一，前瞻性的要求体现在以下两个方面。
首先体现在对未来的合理假设和技术处理上。公司应具有积极应对未来的不确定性和变化的能力，尤其是不利变化，这些变化可能会影响公司未来的资本状况。为了在不利情形下也能满足ORSA的偿付能力要求，保险公司应建模分析未来的财务状况，用技术方法得出相对可靠的结果。典型的方法有压力测试、反向压力测试（reverse stress testing）⑤、情景分析、现金流模型等。模型离不开假设，假设中既要有当前信息，也同时应涵盖未来的预期变化，包括内部假设和外部假设。需要被反映在ORSA中的公司内部假设有：未来定期推出的商业计划，对现有商业计划的改变等，同时应考虑到新的风险形态、业务量及规划期末的衔接；外部假设则可能是经济情况、法律或财政环境、保险市场的变化，可能是技术进步影响了承保风险，也可能是其他需要引起关注的事件，大环境的变化无疑会给公司资本和总偿付能力需求带来影响。内部假设和外部假设的不同组合导致不同的情景，保险公司通过测试这些可能情景识别商业计划中的固有风险及其给偿付能力带来的后果，为后续的决策提供适当的基础。
其次，前瞻性体现在ORSA与战略管理过程和决策框架的联系上。ORSA是一个动态的过程，它在围绕公司商业计划公转的同时，也在不停地自转。虽然公转一圈可能需要花费3年～5年，自转一圈仅需要几周，但这同样需要一定的时间来完成，更重要的是，在此过程中会产生大量的信息。公司要做的不仅仅是等待OR-SA的结果，还应该总结归纳ORSA过程中得到的信息，应用于公司治理系统中。保险公司可以利用这些信息管理资本、完善当前商业计划和构思新计划、开发设计新产品。从这个意义上来说，ORSA不仅是一个评估工具，还是商业管理的一个重要信息来源，集中体现于战略决策、经营管理过程中。
（三）相称性原则
相称性原则是对ORSA效率和可靠性的保证。保险公司应根据业务固有风险的性质、规模和复杂程度量身打造自己的ORSA过程，使之融入公司的组织结构和风险管理系统中，并借助适当的充足的技术来评估总偿付能力需求。保险公司应该以自己的专业化视角将相称性原则逐案体现在ORSA的实务操作中，至少应体现在以下三方面：
1.技术方法的匹配。公司应使用最适合的方法评估和计算总偿付能力需求，不一定需要使用非常复杂的方法。可以用简单的压力测试，也可以用复杂一些的经济资本模型。
2.ORSA的频率。要求公司每年至少应运行一次ORSA。在此原则基础上，保险公司根据自身风险形态和在现有资本状况下总偿付能力需求的波动性来决定具体的评估频率。ORSA可以分为常规ORSA和非常规ORSA，常规ORSA是定期执行的ORSA程序，各公司应根据自身情况合理决定每年运行ORSA的固定的时间，并且通知监管者。除此之外，还要随时跟进公司风险形态的重大变化，在风险发生重大变化后执行的ORSA称为非常规ORSA。内部决策和外部因素都可能导致这样的重大变化。内部决策变化如：开设新业务、修改风险容忍度或再保险安排、内部模型变化、资产组合的重大变化等；至于外部因素，公司将通过压力测试和情景分析的经验来判断哪些是能给公司的风险形态带来重大改变的因素。
3.模型选择。允许有条件的保险公司根据自身风险情况设计内部模型。尚不具备设计内部模型能力的保险公司或者不需要内部模型的保险公司可以使用监管者提供计算监管资本要求的标准化风险模型。必要的时候可以根据特定的业务风险情况进行调整。
（四）内部模型
内部模型是指“保险人开发的一个风险管理系统，用于分析全面风险状况、量化风险并决定相应的经济资本需求”⑥。基于保险公司的特定风险形态和偿付能力制度下的既定的资本安全性要求，内部模型也可以用于决定监管资本要求。内部模型的主要目的之一就是帮助保险人将风险管理、资本管理过程与实践更好地结合起来。当保险公司将内部模型嵌入公司的战略、运作和风险管理过程中时，风险管理和资本管理能达到高度一致，促进保险人更好地理解自身面临的风险，使资本更好地满足风险的要求。内部模型使用者往往能有效认识到业务活动中的变化，如承保新业务、并购业务给风险形态和财务状况带来的影响。除此之外，它还可以用于定价、资本管理或者分析再保险计划等。
内部模型是对比各监管框架下的标准化模型构建出来的，诸如欧盟偿付能力Ⅱ框架下的标准公式（SF）和美国RBC监管框架下的通用公式（generic formula）。内部模型的初衷就是为了弥补这些外部模型在评估保险公司自身风险上的不足。如果保险公司用内部模型计算偿付能力要求比标准化方法更加合适，或者保险公司已经在使用内部模型做财务评估，将内部模型整合进入风险管理和实践报告中了，那么这样的模型无疑会比标准方法更贴近保险公司自身的风险形态。
但是，内部模型的建立和维护会耗费一定的资源和时间，并且不一定能明显获得比标准方法更好的效果，甚至不如标准方法。除了已经在使用内部模型进行风险分析、财务分析的保险公司，其他保险公司和监管者都应考虑到使用内部模型带来的相关成本和收益问题，在具有可行性的情况下使用内部模型。根据欧盟偿付能力Ⅱ指令第120节使用测试（use test）的要求，保险公司若要使用内部模型，则需证明内部模型广泛地使用于整个公司治理系统中，尤其是风险管理系统和决策过程，以及经济资本、偿付能力资本评估与分配过程，包括ORSA。为了能通过使用测试，内部模型须在ORSA中起到重要作用。除使用测试外，内部模型使用者还须在批准日期前通过统计质量标准（statistical quality standards）⑦，校准标准（calibration standards）⑧，利润与损失归属测试（profit and loss attribution test）⑨，验证标准（validation standards）⑩和文件标准（documentation standards）（11）。
（五）ORSA偿付能力需求
偿付能力是指保险人履行赔偿或给付责任的能力，简单地说，具有偿付能力（solvency）是指一种资产超过负债的状态，而偿付能力额度（Available Solvency Margin，ASM）就是资产和负债的差额，即公司拥有的用于抵御风险、应对损失的资源，或者说，公司所拥有的资本。
一般地，ORSA偿付能力需求是保险公司根据自身风险状况评估出来的资本需求，然而，不同机构对此概念有不同的解读，并使用了不同的名词来表示ORSA下的偿付能力需求，如表1所示。
可以看出，欧盟的ORSA偿付能力需求是一个广义的偿付能力概念，不仅仅局限于既定风险下所需要的资本数额，还包括采用一系列借助风险缓释技术降低风险的措施。而美国则是沿用了RBC体系下计算法定偿付能力额度的方法，除了对风险管理更加具体的要求之外，其特殊之处还包括，ORSA要求以最广泛的组织为单位计算资本要求，凡是与保险集团有关系的，不论是保险集团本身、某个集团成员还是几个成员组成的小团体，都应该计算所处的整个保险集团的风险资本。忽略这些差异看本质，ORSA中的偿付能力需求就是在既定风险下需要的资本。
保险公司对资本的需求来自所面临的风险，评估总偿付能力需求前，必须识别所有的重要风险，包括监管要求的不做要求的可量化风险，以及诸如声誉风险（reputational risk）或战略风险（strategic risk）的不可量化风险。保险公司应该灵活处理这些已识别的风险，决定是用资本覆盖还是通过风险缓释工具进行管理，或者同时采取两种措施。尽管比较符合常理的做法是选择用资本来对冲所有的可量化风险，用其他的风险管理办法和缓释技术来处理其余的不可量化风险，但事实上，这并没有绝对的划分界限，可以通过适当的管理来降低可量化的风险。选择了合适的风险处理方法后，可以开始评估偿付能力需求，评估可以采取多种形式，可以完全依赖于计算过程得出一个数值，也可以基于假设、情景或经验判断得出一个偿付能力额度的估计值或估计区间。不论是怎样的评估方法组合和形式，公司都需要评估所有重要风险，并说明评估的基本原理和可行性、合理性。若是用资本覆盖风险，则需要识别风险的重要程度，对于不同重要程度的风险匹配以不同的资本额度；若是使用风险缓释工具管理风险，则须说明什么风险用什么技术管理、理由是什么。
因风险形态受公司采用的风险缓释技术影响，所以对再保险及其他风险缓释技术的影响和有效性评估将出现在ORSA中。当风险不能被有效转移时，就必须纳入偿付能力需求评估的考虑范围内。由不同风险间相互关系带来的风险分散效应也需要被评估过程量化出来。
（六）书面文件
ORSA的书面文件是一个窗口，监管者和公众通过一系列政策和报告看到保险公司ORSA的运行机制和最新动态，了解一个公司的真实经营状况。完整的ORSA文件至少应包括以下几部分：
1.ORSA政策
ORSA应该是公司治理系统的一部分，所以ORSA首先应具备一些基本的原则性的政策要求，确保高效地为公司业务提供稳健的、审慎的评估。基本原则包括书面要求、审核和调整、必要的权利下放、资源获取、可持续经营及应急预案等。除此之外，还应包括对ORSA实施流程的描述以及前瞻性的体现；风险形态、风险容忍度和偿付能力需求之间的联系；其他信息，如压力测试、敏感性分析等相关信息。
2.每次ORSA的记录
公司根据ORSA政策组织每一次的ORSA，并对其结果做出适当说明和内部记录，以供第三方查阅与评价。每一次ORSA的记录内容包括：
（1）风险分析与识别，包括对所考虑风险的描述和解释；
（2）风险评估与资本分配过程的联系，以及风险容忍度的体现；
（3）解释公司如何管理没有被资本覆盖的风险，包括再保险和其他风险分散策略；
（4）ORSA评估方法的技术规范说明，包括对主要框架的详细描述，一张附有说明的假设清单，设定相关性的过程（如果有的话），置信度水平的选择理由（如果有的话），对压力测试、情景分析的描述及其结果的使用，评估参数、数据不确定性的方法说明；
（5）本年度及整个商业计划期结束时的偿付能力需求情况，解释公司准备如何达到这些目标需求；
（6）评估持续符合监管资本和技术准备金要求的结论及理由；
（7）比较保险公司的风险形态与监管资本要求的基本假设，识别并解释差异。如果出现重大差异，需要内部记录保险公司的应对策略；
（8）由评估产生的行动计划和理由。比如评估结果显示公司的资本不足，需要制定计划筹集额外资本，那么这个计划就需要被记录下来，同时记录改善公司财务状况的行动和行动时间。
（9）考虑前瞻性时需要的内部、外部因素；
（10）相关管理行为的细节，包括对这些行为的解释说明，及其对评估的影响；
（11）公司董事会和高级管理层的意见和建议，以及提出的疑问和解答。
3.ORSA内部报告和监管报告
ORSA内部报告是在公司内部分享的ORSA过程和结果的书面形式报告。报告需要最终传达给董事会和高管，所包含的信息应足够详细，确保能基于此信息进行战略决策。ORSA内部报告经董事会和管理层认可后，要将报告中的信息准确无误地有针对性地传达下去，确保后续工作的有序进行。公司的内部报告是ORSA监管报告的基础。如果公司认为内部报告符合监管报告的要求的话，可以向监管当局递交同一份报告，这个过程不一定要写新的报告或起草新的文件，如果相关信息已在现有文件中有充分记录，那么仅仅补充额外信息即可，包括对公司内部使用词汇的解释等，以全面记录为原则。监管者对ORSA报告有保密的义务，应该确保信息的安全性。
（七）保险集团
1.集团风险
保险集团应在集团层面上进行充分的风险管理，促进各保险集团成员的风险评估。类似地，集团内单个成员在进行ORSA的时候不能仅考虑自身风险，而应该在最广泛的集团层面上评估集团给其带来的额外风险。评估时应捕获所有集团层面的风险，不得遗漏，并要考虑到保险集团内的资本可替代性和资产可转移性，避免将一笔资金在集团内重复使用、重复计算。
不论是单个集团成员的ORSA还是保险集团的ORSA都要考虑到集团解散等集团结构发生改变的情形。评估当前资本充足性和可持续性分析都应包括在不利情况下与集团结构相关的可能变化，集团是否能维持其完整性，及这些变化是否影响到集团风险、集团存续性、集团与集团成员间的供需关系。
复杂的内部组织结构、广泛的涉足领域、交错的资金链关系给保险集团带来了众多的风险因素，因为保险集团层面的风险远比单个集团成员的风险要复杂，所以为了更全面地处理集团层面的风险，需要额外的信息和分析。例如做传染性测试，即用压力测试来评估单个集团成员出现问题时对其他成员的影响，也就是传染风险（contagion risks）。
此外，集团的特殊风险还包括利益冲突风险、不透明风险、集中风险、依赖性风险、来自集团内部非保险成员的风险等。
2.集团ORSA偿付能力需求
所有的保险集团都需要根据自身风险容忍度和商业计划决定其管理业务所需的总财力，也就是经济资本，并且向监管者证明集团的资本状况能满足监管要求。保险集团的任何管理措施都要基于经济资本、监管资本和自身财力做出。集团的经济资本可以由保险集团决定，也可以由某个或多个集团成员决定或共同决定，原则是要反映保险集团和每个保险集团成员的风险容忍度和管理措施。
集团ORSA偿付能力需求不等于集团成员ORSA偿付能力需求的加总，这也正是集团ORSA的意义所在。评估集团资本时有一些需要处理的集团因素，包括多重传动（multiple gearing）、集团内部资本创造（intra-group creation of capital）、互融资（reciprocal financing）、集团成员间的资本替代性（fungibility of capital）和资产可转换性（free transferability of assets）带来的财务杠杆过高等问题。
保险集团在偿付能力评估时也可以使用内部模型，前提是通过使用内部模型能更好地评估财务资源和计算监管资本要求，能更有效地评估风险的范围和复杂程度。保险集团是否采用内部模型的决定应该独立做出，根据风险性质、范围、复杂程度而定，与其成员是否使用内部模型进行ORSA无关。虽然可能内部模型不适合任何一个集团成员，却很适合保险集团的情况。
三、对我国未来ORSA的实践指导
对风险和偿付能力状况的定性分析是我国偿二代的一个重点，同时也是难点。实际操作过程中，ORSA在公司中的运转是一个动态的过程，为了能更好地管理风险，为公司创造价值，在上述理论要求的基础上，还需要配合一些实践要求加以辅助和支撑，共同协助ORSA的大轮正常转动，带领公司稳步前行。
（一）找到合适的目标经营模式
通常保险公司都是在监管者的要求下建立风险管理部门及打造相应的风险环境，实际上没有融入到公司的业务中去，风险管理部门与公司其他重要部门之间几乎没有沟通或者缺乏有效的沟通方式，导致的结果是作为风险控制的核心部门，他们有时候甚至都不清楚哪些风险具体对应哪块业务。可能董事会对风险管理部门的要求覆盖公司自身风险的方方面面，但实际中风险职能部门对于一些复杂的风险种类（常集中于操作风险和监管合规上）既无经验又无资源去管理，风险角色的不明晰使得风险管理部门的工作和一线的风险活动之间缺乏明确的界限。角色的困惑将持续带来影响组织内部的风险文化的低绩效和重复劳动。所以为了有效地进行公司自身风险和偿付能力的评估，首先需要确立的就是一个合理的目标经营模式。
一个合理的目标经营模式应是自上而下，融会贯通的。上至董事会，下至各职能部门，各司其职，明确风险分工，共同支撑并维护公司内部风险管理框架，帮助ORSA的大轮平稳向前转动。具体应在董事会的带领下，以风险管理部门为风险中心，其他部门密切配合，完成本部门分内的风险工作。经营模式的改变使得整个业务体系的运作更加有效。各部门负责人需要确实对本部门的风险负责，确保风险在可控范围内，包括主要活动的风险缓释以实现商业目标。需要在业务层面清晰定义风险职能，以实现有效的改变。其中，董事会主要对风险偏好框架负责，包括风险结构、风险极限和风险政策等，并根据一个完善定义的未来战略来指导公司经营。对于公司日常经营，董事会主要起到审查的作用，关注一些关键财务指标的情况，总括式性地进行公司治理。风险职能部门属于公司的二线部门，不直接对外，负责全局性的风险管理活动，创造并维护整个风险治理框架的有效运作。风险职能部门的活动主要有：
1.结合董事会意见，在完善考虑、仔细分析风险后得到风险偏好和容忍度极限；
2.打破机构内部的壁垒，跨部门、跨业务线评估风险；
3.从分析财务风险到制定战略计划的过程中发现新机遇；
4.确保建立了合适的风险政策和程序；
5.充分建立风险报告和利益相关者管理机制；
6.维护和支持整体内部控制框架。
财务部门涉及两大风险管理关键部分——产品相关和财务风险管理，包括数据和模型输入，以及保险风险、信用风险、市场风险等的管理。此外，财务部门还负责资本的管理等活动。可以说，在这里实现了风险与资本的交汇和转化，是董事会的重点关注和询问对象。
业务部门主要进行日常经营活动，涉及承保、理赔、合规等具体事宜，操作风险多来源于此。同时，因为业务部门直接对外，所以部分参与公司的战略决策过程，涉及产品设计和定价、资产分配、项目等，从业务角度为董事会提供风险信息和决策依据。
ORSA与公司整体架构的关系如图2所示。
（二）充分挖掘公司内部才能
任何有效率的风险管理框架都离不开人的作用。对于风险的掌握终究应回归到人上来，模型只是为了更好地认知风险，它可以是动态的，但不具有人的前瞻性视角和对未来的判断，只有人能实现对风险的最佳认知，防范于未然，并且也可以在风险发生时及时采取措施。
可能一些公司对风险管理系统和公司治理系统的理解都存在偏差，认为是这些系统在对公司进行风险指导和风险控制。这样的想法导致了人的被动，影响了董事会的效率和发挥其应有的作用。风险管理过程深受人和文化的影响。因此，CRO这个关键人物很重要。20世纪90年代，当CRO这一角色刚出现时，其职责仅包括地域性风险评估、确保合规的最低要求、评估业务可持续性及风险政策的培训和沟通，没能成功凸显出其存在的意义，真正负责大部分甚至是全部风险的是总精算师。CFO则主要负责细节性的财务报告。CRO们很少能接触到金融市场和金融分析师，公司的财务部门仅仅集合了一些专注于账面数字的人，与商业战略无关。人们把主要的关注点放在了技术上，而不是更广泛的业务知识和企业战略。
现在，在ORSA的要求下，风险和财务关系更密切了，需要CRO承担更广泛的责任，包括一些之前由总精算师承担的责任，例如：
1.增加透明度和与金融市场的交流；
2.强调风险信息对公司管理的重要性。例如，将风险调整资产收益（RAROC）（12）和经济资本度量方法融入绩效管理框架中；
3.密切关注各项财务指标，加强防范；
4.CRO对审查、分析和报告机制应承担更多的责任；
5.激励并帮助不同职能之间的互动。
此外，各部门负责人也需要充分自我激励，及时沟通积极报告，对本部门的风险负责，确保风险在可控范围内。合适的完善的报告程序和技巧也将有助于凸显人的智慧。这是ORSA实际操作中需要重点强调的问题。
（三）建立风险偏好体系
风险偏好框架应由董事会和风险管理部门负责，它最少应包含以下核心要素：
1.风险文化：明确定义和阐明相关责任和义务的公司治理架构；描述风险决策背后的风险文化。
2.风险识别和优先级：全面识别对机构很重要、影响深远的风险，并对这些风险进行优先级排序，至少列出前十大影响力风险。风险管理部门有责任确保这个过程合理有效地进行。
3.风险偏好、容忍度、目标、限额：正式的风险偏好说明，以及与之相联系的风险容忍度、目标和限额；董事会对风险偏好的看法确保与风险战略一致。
4.风险管理和控制：管理风险的过程是一个持续的活动，在机构的多个层面上同时进行。
5.风险报告和交流：披露风险管理关键部分，促进正式和非正式的风险交流。
一个清晰的风险偏好框架激励公司变得更加有张力，通过减少达到战略目标途中的不确定性和仅在有价值的地方承担风险来提升公司绩效，帮助利用有限的资源做出更明智的投资决策，在潜在收益和相关风险间找到一个平衡。对公司来说，风险偏好框架无论对一个雄心勃勃的发展战略，还是对进行中的重大组织变革都很关键。同时，对于那些面临着市场或操作漏洞的公司或是那些正在承受财务压力的公司来说，这个框架也非常重要。
一个有效的风险偏好框架具有以下三种特质：
1.在定量和定性的基础上，用综合的、战略的眼光看待公司价值创造的关键驱动因素和价值破坏的根本原因，可能包括公司的地理位置、客户关系、经营能力、资本结构、流动性和人力资本；
2.关系到组织内部不同层级的大量利益相关者：董事会将把风险偏好声明的核心内容作为一项治理工具，确保公司控制了首要风险，并且公司战略和股东利益是一致的；风险管理部门透过风险偏好这个镜头来考虑重要战略决策和持续绩效管理；财务部门则着眼于找到对盈利波动性的更具体的度量方法和准确的评级方法。同时通过限制承担过度的风险和促进关键利益相关者与日常决策者之间的交流来满足外部利益相关者的期望；
3.与公司的关键决策过程相连接，利用清晰而规范的风险偏好记录确保风险决策的一致性，并且通过更严密、更精确的预测和战略来实现公司价值增长。
（四）准确度量风险成本
现有的风险管理体制内，风险的成本通常单一地体现为覆盖风险所需的资本额度。在ORSA中，这一概念需要做适当的拓展。有效的风险成本度量方式不仅可以量化表现，还可以定性描述。而且量化表现方法也不用局限于资本，还可以是直观的时间成本、人力成本等。
将风险成本以一定方式表现出来首先是为了高效管理的需要，对应于每个风险都可能有不止一种缓释方法，管理者可以在不同的缓释方法中进行比较或者组合，这也可以形成对管理者的督促作用。作为一个一般的量化规则，公司的风险偏好框架仅从两个维度度量风险——额度和概率，并绘制一张二维平面上的风险图，可以据此观察从高损失、高频率的风险到低损失、低频率的所有已识别的风险分布。在使用风险图的基础上，也有公司同时使用风险网，如图3所示。
事实上，一种更加有效的方式是将风险图和风险网结合起来，对风险图上的每个风险贴上缓释成本的价签，形成一个三维的立体图。根据明确定义的风险偏好框架，可以在三维图中形成目标最优风险组合的封闭空间和最大风险容忍度限额的封闭空间，这样与真实的风险状况比较后可以更有效地采取管理措施。
此外，明确风险成本也是利益相关者和监管者希望看到的。他们迫切要求一个直观而透明的风险透视图，以满足对一个稳健的可信赖的公司的预期。
（五）完善报告机制
当前，许多保险人所采用的报告机制并不匹配其业务模型或结构。这主要是由于：
1.由于技术限制，许多保险人仍然在使用原有的各职能相互分离的系统；
2.缺乏有效的IT技术平台投资，无法实现风险数据和信息的快速传输和分析；
3.关键风险指标（KRI）过多，导致风险报告的可信度降低，无法基于风险报告准确地度量和做决策。
缺乏控制和协调的报告流程无疑会影响风险管理信息数据在各部门间的传输和反馈，不完善的报告机制也会阻碍重要资本和财务指标的产生。为了建立起有效的报告机制，应确保风险导向的业务系统的完备性。
首先，针对实际业务的需要，风险系统的功能性和有效性需要经过检验和测试。建立的目标经营模式应能有效确保风险管理信息的快速准确传递。为达此目标，风险系统、精算系统和会计系统要默契配合，支持经济资本、偿付能力和其他关键的业务决策的产出。同时还需要精简关键风险指标，建立报告准则，以优化风险系统性能。这些提高帮助风险管理团队执行力更强、分析更深入，帮助更好地做决策。
如果想要拥有一个能洞察风险的模型，就必须先得到准确的数据。决定准确、可靠、一致的数据，设计合理的系统，以及贯穿整个业务过程的数据控制都是必需的。在理想情况下，关键经济数据（包括与其他数据源的关系，如退保）以某种方式采用、交换、报告、分析、重新配置后，保险人可以据此实时关注市场发展动态，管理层能快速挑选出应对不同突发事件的不同行动。当需要跨地域跨时期，在文化、人力、流程和技术协调一致的基础上处理关键偿付能力问题（包括资本要求、国际会计、保险估值、再保险、集团监管）时，这就显得尤为重要。
此外，明确知道内外部重要利益相关者对关键管理信息数据与分析的预期是有帮助的。交给风险管理部门和交给外部专业人士诸如评论员和分析师们的报告侧重点是不同的。合理一致的报告形式以及数据度量方法能协调各个不同部门，确保不同部门间的沟通与联系，帮助保险人确立内部报告准则来衡量与财务相关的资本及偿付能力指标；灵活变通的报告方法和技巧能满足不同利益相关者（分析师、评级机构、监管者及消费者）的不同信息需求，提供了有效及时的外部报告。
欧盟和美国是目前保险业全面风险管理的领跑者，从他们对ORSA的要求上可以得到很多受用的经验。我国目前的监管框架就是借鉴欧盟的偿付能力l体系和美国的RBC体系构建的，因此也有理由关注他们的ORSA发展，充分结合其设计理念与我国保险公司的特点和监管实际打造普遍适用于我国保险行业的ORSA。
此外，我国目前已有8个保险集团，它们正朝着国际化发展目标前进。为了更好的立足于国际保险市场，集团风险管理系统自身的完善迫在眉睫，这也是ORSA的研究重点之一。希望未来我国保险业能打造自己的ORSA，并借助其实现公司风险和偿付能力的合理评估和公司的可持续发展。
①欧盟指令2009/138/EC，见欧盟官方期刊2009年第335期，第1页至第155页，见参考文献。
②欧洲保险与职业年金局（EIOPA）的前身。201 1年1月1日，EIOPA正式取代CEIOPS.
③EIOPA公开咨询文件（No.11/008）最终报告（No.258/12），
见参考文献。
④保监发[2013]42号文件。
⑤反向压力测试是压力测试的一种，其出发点是假设某金融机构在较短时期内遭受了非常巨大的、可能是几十亿美元的损失，然后回溯分析，模拟出产生损失的情景和环境。
⑥IAIS.2007.Guidance Paper on the Use of Internal Models for Risk and Capital Management Purposes by Insurers.Inter-national Association of Insurance Supervisors,Basel.Guidance Paper No.2.2.7,October.
⑦统计质量标准指的是统计计算的方法一定要精准；统计数据一定要及时连续可靠；统计计算要在现行的、可信的和可以被证明的假设下进行。
⑧校准标准帮助评估内部模型输出结果与模型标准的一致性。
⑨利润与损失归属测试主要用于解释造成损益波动变化的原因。
⑩验证标准用于评估内部模型是否满足所有利益相关者的需求：它们能否被接受，是否适用？
（11）文件标准保证信息在自创建到废止的整个有效期内都可用，包括分类、存储等。
（12）风险调整资产收益（RAROC）的核心思想是将未来可预计的风险损失量化为当期成本，对当期收益进行调整，衡量经过风险调整后的收益大小；考虑为非预期损失做出资本储备，进而衡量资本的使用效率，使公司的收益与所承担的风险挂钩。RAROC=（收益-经营成本-预期损失+资本收益）/经济资本。